Termos de Uso

1. Aceitação

Ao criar uma conta, contratar uma assinatura ou usar a Vulnera de qualquer forma, você declara que leu e aceita estes Termos e a nossa Política de Privacidade. Se você não concorda com algum ponto, não use a plataforma.

Se você usa a Vulnera em nome de uma empresa ou organização, você declara ter poderes para vinculá-la a estes Termos, e "você" passa a significar também essa organização.

2. Descrição do serviço

A Vulnera:

• Executa e coordena análises automatizadas de segurança em ativos que você cadastra e nos autoriza a analisar.
• Consolida achados de diferentes ferramentas em um lugar só, removendo duplicidades e correlacionando resultados.
• Ajuda você a entender e priorizar vulnerabilidades em linguagem acessível.
• Gera recomendações de correção, incluindo explicações produzidas por sistemas automatizados ou por IA.
• Permite enviar contexto de correção para as suas ferramentas de desenvolvimento e assistentes de IA, inclusive por integrações MCP.
• Revalida achados depois que você aplica uma correção, para mostrar se o problema saiu.
• Gera relatórios de segurança que você exporta em PDF quando precisar.

A Vulnera é uma camada inicial e contínua de segurança: ela reduz incerteza e mostra onde agir primeiro. Ela não garante a detecção completa de vulnerabilidades nem a segurança completa de um sistema. Veja a seção 9.

3. Elegibilidade, contas e credenciais

Ao manter uma conta, você se compromete a:

• Fornecer informações de cadastro verdadeiras e mantê-las atualizadas.
• Manter a confidencialidade das suas credenciais e tokens de acesso, incluindo tokens de integração e de MCP.
• Responder por toda atividade realizada na sua conta, inclusive por análises criadas por ela.
• Comunicar imediatamente qualquer acesso não autorizado ou suspeita de comprometimento.
• Não compartilhar a sua conta com quem não está autorizado a usá-la.

Se você administra uma organização, você é responsável por quem convida, pelo nível de acesso que concede e por remover o acesso de quem sai. Integrantes convidados agem sob a responsabilidade dessa organização, e os ativos, análises e achados pertencem a ela, não à conta pessoal de quem os criou.

É preciso ter 18 anos ou mais para criar uma conta e aceitar estes Termos. A seção 4 explica o motivo: usar a Vulnera significa assumir responsabilidade legal pela autorização de analisar um ativo.

4. Autorização para analisar ativos

Esta é a obrigação mais importante destes Termos. Analisar um sistema sem autorização do titular pode configurar ilícito civil e crime, inclusive nos termos do art. 154-A do Código Penal e da legislação equivalente em outros países. A responsabilidade por essa autorização é sua, não da Vulnera.

Antes de submeter qualquer ativo à Vulnera, você deve:

• Ser o titular do ativo analisado ou ter autorização expressa e documentada de quem é.
• Garantir que o escopo, o alvo, o horário e os métodos da análise estão cobertos por essa autorização.
• Manter a evidência da autorização enquanto durar a análise e pelo tempo necessário depois dela.
• Respeitar as restrições impostas por provedores de hospedagem, provedores de nuvem, clientes e terceiros. Muitos deles limitam ou exigem aviso prévio para testes de segurança.
• Interromper uma análise se ela causar instabilidade, alcançar dados que não são seus ou afetar terceiros.
• Responder pelos ativos, credenciais, URLs, domínios, APIs, endereços IP, repositórios, contêineres e ambientes de nuvem que você submeter.

Para que não reste dúvida:

• Um ativo estar acessível publicamente não significa que ele está autorizado para escaneamento. Acessibilidade não é permissão.
• A Vulnera não pode ser usada para analisar sistemas de terceiros sem permissão.
• A verificação de titularidade feita pela plataforma, por registro DNS TXT ou por arquivo publicado no ativo, é um controle técnico nosso. Ela não substitui, nem transfere para nós, a sua responsabilidade legal de obter autorização. Confirmar que você controla um domínio não é o mesmo que provar que você pode testá-lo.
• Podemos exigir verificação adicional, ou recusar uma análise, antes de permitir que ela rode.

Ao cadastrar um ativo, você declara expressamente que tem essa autorização. Registramos essa declaração.

5. Uso aceitável

Você não pode usar a Vulnera para:

• Violar a lei aplicável ou direitos de terceiros.
• Analisar sistemas sem autorização, conforme a seção 4.
• Conduzir operações de segurança ofensiva.
• Tentar obter acesso não autorizado a qualquer sistema.
• Explorar uma vulnerabilidade além do estritamente necessário para validá-la.
• Causar negação de serviço, tráfego excessivo, instabilidade ou interrupção de qualquer sistema.
• Praticar roubo de credenciais, credential stuffing, phishing, personificação ou fraude.
• Distribuir malware ou manter acesso não autorizado a um sistema.
• Coletar ou expor dados pessoais, confidenciais ou de terceiros que não tenham relação com a análise autorizada.
• Contornar limites de requisição, limites de uso, controles de cobrança, controles de acesso ou a verificação de ativos.
• Interferir na Vulnera, nos nossos provedores, nos scanners ou em outros clientes.
• Revender ou sublicenciar o serviço sem a nossa autorização.
• Usar achados para prejudicar, extorquir, ameaçar ou expor publicamente uma pessoa ou organização.
• Publicar achados de segurança sem autorização do titular do ativo afetado.

Se você descobrir uma vulnerabilidade em um sistema que não é seu, mesmo por acidente, a conduta esperada é a da seção 13.

6. Análises e limites operacionais

Para proteger você, os alvos, os outros clientes e a nossa infraestrutura, a Vulnera pode:

• Aplicar limites de requisição.
• Restringir quantas análises rodam ao mesmo tempo.
• Limitar a duração e a intensidade de uma análise.
• Pausar ou cancelar análises em andamento.
• Bloquear alvos ou faixas de rede específicas.
• Exigir verificação manual antes de liberar uma análise.
• Restringir temporariamente contas quando detectarmos abuso ou risco.
• Alterar a disponibilidade de scanners e os tipos de análise suportados.

Uma análise automatizada gera tráfego real contra o alvo e pode afetar o seu desempenho ou o seu comportamento. Escolher o momento, o escopo e o ambiente adequados é responsabilidade sua. Analise sistemas em produção apenas quando você tiver autorização explícita para isso e quando for operacionalmente apropriado, e prefira uma janela em que a sua equipe possa acompanhar o resultado.

7. Achados, evidências e conteúdo do cliente

O que é seu continua seu. Você (ou a sua organização) mantém a titularidade sobre:

• As informações dos seus ativos.
• As configurações de análise.
• Os achados de segurança relativos aos seus ativos.
• O conteúdo que você enviar à plataforma.
• Os registros de correção.

Você nos concede uma licença limitada, não exclusiva e revogável para tratar essas informações apenas na medida necessária para prestar, proteger e melhorar o serviço, conforme a Política de Privacidade. Essa licença existe para operar a plataforma. Ela não nos dá direito de usar os seus achados para outra finalidade.

Relatórios e achados descrevem fragilidades reais dos seus sistemas. Trate-os como informação sensível: quem tem o relatório tem o mapa. Veja a seção 13.

8. Recomendações automatizadas e geradas por IA

Sobre os resultados que a plataforma entrega:

• Achados podem conter falsos positivos.
• Uma análise pode deixar de identificar vulnerabilidades que existem.
• A classificação de risco pode mudar conforme o contexto do seu sistema. A severidade sugerida é um ponto de partida, não um veredito.
• Explicações e sugestões de correção geradas por IA podem ser imprecisas ou incompletas.
• Você deve revisar qualquer recomendação antes de aplicá-la.
• Na medida permitida pela lei, a Vulnera não responde por mudanças aplicadas ao seu sistema sem a revisão adequada, seja por você, pela sua equipe ou por uma ferramenta de IA que você use.

A Vulnera explica e recomenda; ela não aplica correções nos seus sistemas. Quando você envia contexto para uma ferramenta de desenvolvimento ou assistente de IA, quem decide e executa a mudança é você, no seu ambiente.

9. Ausência de garantia de segurança

Uma análise sem achados não é um atestado de segurança. A Vulnera não certifica que um ativo é seguro, e nenhuma ferramenta honesta faria isso.

Especificamente:

• A Vulnera não certifica que um ativo é seguro.
• Uma análise bem-sucedida não prova a ausência de vulnerabilidades.
• A Vulnera não substitui teste de intrusão, revisão de código, auditoria, avaliação de conformidade, certificação ou profissionais de segurança.
• Os achados refletem o ativo, a configuração, o escopo e a capacidade de detecção disponíveis no momento da análise.
• Qualquer mudança no ativo pode invalidar resultados anteriores, por isso a revalidação e o histórico existem.

O que a Vulnera entrega é valioso e concreto: uma primeira camada de segurança que roda de forma contínua, mostra o que está exposto, explica o risco em linguagem que você entende e diz por onde começar. Isso reduz incerteza de verdade. Só não confunda isso com uma garantia.

10. Planos, uso grátis, cobrança e cancelamento

A Vulnera tem um plano único, com três periodicidades. Cada ciclo é cobrado de uma vez, no início dele. Os preços abaixo são os praticados hoje e já incluem os tributos aplicáveis. Se eles mudarem, a alteração vale para os próximos ciclos, nunca para um ciclo já pago.

• Plano e preços: plano único, cobrado conforme a periodicidade escolhida. R$ 189 por mês no mensal; R$ 894 a cada 6 meses no semestral (equivalente a R$ 149 por mês); R$ 1.308 por ano no anual (equivalente a R$ 109 por mês).
• Uso grátis: antes de assinar, você pode cadastrar 1 alvo e executar 1 escaneamento, sem cartão. Não há período de teste por tempo. O uso grátis é medido por esse escaneamento, não por dias. Depois dele, é preciso assinar para continuar.
• Limites de uso: no uso grátis, 1 alvo e 1 escaneamento. No plano assinado, 1 alvo e escaneamentos ilimitados.
• Renovação automática: a assinatura renova sozinha ao fim de cada ciclo, pela mesma periodicidade, até que você cancele. A data da próxima renovação e o cancelamento ficam na sua conta, e você pode cancelar a qualquer momento antes dela.
• Mudança de periodicidade: hoje a troca vale a partir do próximo ciclo. Você cancela a renovação da periodicidade atual, mantém o acesso até o fim do ciclo já pago e assina a nova periodicidade a partir daí. Não há cobrança proporcional (pró-rata) nem crédito de ciclo em curso.
• Falha de pagamento: se a cobrança não for concluída, o acesso é suspenso. Regularizado o pagamento, o acesso volta, e os seus dados continuam onde estavam durante a suspensão.
• Cancelamento: você cancela quando quiser, sem multa e sem precisar falar com ninguém. O cancelamento vale para o fim do ciclo em curso: a assinatura deixa de renovar e o seu acesso continua até lá. Como o ciclo é cobrado de uma vez no início, cancelar não gera nenhuma cobrança nova — e também não devolve o valor do ciclo já pago, fora da hipótese de reembolso abaixo. Os descontos de 21% e 42% sobre o preço mensal são a contrapartida de pagar o período inteiro adiantado.
• Reembolso: vale o direito de arrependimento do Código de Defesa do Consumidor, 7 dias corridos contados da contratação, com devolução integral. Fora dessa hipótese, não devolvemos valores de ciclo já iniciado; você continua com acesso até o fim dele.
• Efeito do cancelamento sobre o que é seu: os seus alvos, achados, evidências e relatórios não são apagados quando você cancela. Eles são excluídos depois de 1 ano de conta inativa, conforme a Política de Privacidade. Então, se quiser voltar antes disso, o seu histórico ainda está lá.

Os pagamentos são processados pela Stripe. Se você contratar como consumidor, os seus direitos do Código de Defesa do Consumidor permanecem íntegros, independentemente do que estiver escrito acima.

11. Serviços de terceiros e integrações

A Vulnera depende de serviços de terceiros para funcionar, entre eles:

• Provedores de nuvem e infraestrutura (AWS).
• Processamento de pagamento (Stripe).
• Autenticação (Google, quando você entra com conta Google).
• Provedores de IA (OpenAI, quando o recurso está habilitado).
• Scanners de segurança que executamos na nossa infraestrutura (OWASP ZAP e o motor de análise de código da Vulnera).
• Ferramentas de desenvolvimento e clientes ou integrações MCP que você conectar.

Ao usar essas integrações, você também pode estar sujeito aos termos e políticas desses provedores. Vale especialmente para o que você conecta por conta própria, como o seu assistente de IA ou a sua ferramenta de desenvolvimento.

Na medida permitida pela lei, não respondemos por indisponibilidade, alteração, limitação ou descontinuação de serviços de terceiros que estejam fora do nosso controle. Se um provedor essencial mudar de forma a afetar o serviço, comunicaremos você.

12. Propriedade intelectual

O software da Vulnera, a marca, o design, a documentação, a base de conhecimento de correção, as explicações e conteúdos originais que produzimos, as APIs e as integrações são nossos ou licenciados a nós, e são protegidos pela legislação de propriedade intelectual.

Usar o serviço concede a você uma licença de uso durante a vigência da assinatura. Não transfere titularidade sobre nada disso, nem autoriza copiar, redistribuir, fazer engenharia reversa ou criar obra derivada da plataforma fora do que a lei permitir.

Nada aqui nos dá titularidade sobre os seus ativos, o seu código ou os dados originais da sua organização. O que é seu, permanece seu. Veja a seção 7.

Componentes de terceiros e software livre que utilizamos, como o OWASP ZAP, permanecem sujeitos às suas próprias licenças.

13. Confidencialidade e divulgação responsável

Achados de segurança são, por natureza, informação confidencial: eles descrevem como um sistema pode ser comprometido enquanto ele ainda pode ser comprometido.

Ao usar a Vulnera, você se compromete a:

• Restringir o acesso a relatórios e achados às pessoas autorizadas a conhecê-los.
• Não expor publicamente vulnerabilidades ativas.
• Seguir práticas de divulgação coordenada e responsável.
• Notificar o titular afetado pelos canais apropriados, dando tempo razoável para a correção.
• Não usar achados para pressionar, constranger ou prejudicar terceiros.

Se você encontrar uma vulnerabilidade na própria Vulnera, escreva para contato@vulnera.io antes de divulgá-la, com o assunto começando por "Segurança". Vamos responder e tratar o relato com prioridade. Não temos programa formal de recompensa por vulnerabilidades.

14. Disponibilidade e mudanças no serviço

Empregamos esforços razoáveis para manter a Vulnera disponível e funcionando bem, mas não garantimos operação ininterrupta, livre de erros ou de falhas. Não oferecemos SLA: não há compromisso contratual de disponibilidade mínima, nem crédito por indisponibilidade.

Podemos realizar manutenções, atualizar scanners, alterar, adicionar ou remover funcionalidades. Quando a mudança for material e negativa para você, comunicaremos com antecedência razoável. Em caso de descontinuação do serviço, avisaremos com antecedência e daremos a você a oportunidade de exportar os seus dados.

15. Suspensão e encerramento

Podemos suspender ou encerrar o acesso, no todo ou em parte, nos casos de:

• Escaneamento não autorizado.
• Abuso da plataforma ou violação do uso aceitável.
• Risco de segurança para você, para terceiros, para outros clientes ou para a nossa infraestrutura.
• Exigência legal ou ordem de autoridade competente.
• Falta de pagamento.
• Violação destes Termos.

Sempre que possível, avisamos antes e damos oportunidade de regularizar. Mas quando for necessário para impedir dano iminente a você, a terceiros ou à infraestrutura, em especial em caso de análise não autorizada em andamento, a suspensão pode ser imediata, com comunicação depois.

Você pode encerrar a sua conta quando quiser. Depois do encerramento, os seus dados são tratados conforme a Política de Privacidade, incluindo os prazos de retenção e as obrigações legais que nos impedem de apagar tudo imediatamente.

16. Limitação de responsabilidade

Esta seção não afasta direitos que a lei garante de forma imperativa. Se você contrata como consumidor, o Código de Defesa do Consumidor prevalece sobre qualquer disposição em contrário, e nada aqui limita responsabilidade por dolo, culpa grave ou por vício do serviço nos termos da lei.

Respeitados esses limites, e na máxima extensão permitida pela legislação aplicável, a Vulnera não responde por:

• Danos indiretos.
• Lucros cessantes.
• Interrupção de negócio.
• Decisões tomadas exclusivamente com base em achados automatizados, sem revisão.
• Mudanças aplicadas nos seus sistemas sem revisão adequada.
• Incidentes decorrentes de vulnerabilidades que a plataforma não detectou.
• Uso indevido da plataforma, análises não autorizadas ou violação destes Termos por você.

Também respeitados esses limites, a nossa responsabilidade total agregada por qualquer reclamação relacionada ao serviço fica limitada ao valor que você efetivamente pagou à Vulnera nos 12 meses anteriores ao fato que deu origem à reclamação.

17. Indenização

Você concorda em nos manter indenes de reclamações, perdas, danos, multas e despesas razoáveis, incluindo honorários advocatícios, que decorram de:

• Análises não autorizadas realizadas por você ou pela sua conta.
• Ausência de permissão para testar um ativo.
• Uso ilícito da plataforma.
• Violação de direitos de terceiros.
• Conteúdo, ativos ou credenciais submetidos por você sem autorização.

Essa obrigação não se aplica na medida em que a reclamação decorra de ato nosso. Comunicaremos você prontamente sobre qualquer reclamação coberta e não faremos acordo sem a sua anuência prévia.

18. Alterações destes Termos

Podemos alterar estes Termos para refletir mudanças no produto, em provedores, na legislação ou nas nossas condições comerciais. A data de última atualização fica sempre no topo desta página.

Quando a alteração for material, publicamos a nova versão aqui, com a data do topo atualizada, antes de ela entrar em vigor. Continuar usando a Vulnera depois disso significa que você aceita os Termos revisados. Se você não concordar, pode encerrar a conta, conforme a seção 15. Correções de redação entram em vigor na publicação.

19. Lei aplicável e foro

Estes Termos são regidos pelas leis da República Federativa do Brasil.

O foro competente para dirimir controvérsias é o da Comarca de São Paulo/SP, eleito pelas partes. Se você contrata como consumidor, permanece garantido o seu direito de demandar no foro do seu domicílio, nos termos do Código de Defesa do Consumidor, e nada nesta seção afasta esse direito nem qualquer outra garantia legal imperativa.

20. Contato

Fale com a gente por contato@vulnera.io. Hoje esse é o nosso canal único: use-o para suporte, para assuntos jurídicos e contratuais, para privacidade e para reportar uma vulnerabilidade encontrada na própria Vulnera. Indicar o assunto na primeira linha ajuda a direcionar o pedido.

• Prestadora do serviço: Osmir Custodio Mariano Tecnologia da Informação Ltda.
• CNPJ: 53.636.099/0001-89
• Endereço: Avenida Paulista, 1106, sala 01, 16º andar, Bela Vista, São Paulo/SP, CEP 01310-914
• E-mail: contato@vulnera.io